Freigabelinks in Microsoft 365: drei Spuren eines gefälschten Dokuments

„Frau Wimmer hat ‚Rechnung_Oktober.pdf' mit Ihnen geteilt." Solche Nachrichten kommen in vielen Betrieben täglich. Genau deshalb sind sie ein beliebter Köder. Die gefälschte Variante führt nicht zu einer Rechnung, sondern zu einer nachgebauten Anmeldeseite. Wer dort Passwort und Code eingibt, übergibt sein Firmenkonto: Mail, Dateien, Kalender, oft auch Chat.

Dieser Beitrag zeigt drei Spuren, die Sie in einer halben Minute prüfen können, und erklärt, worauf Sie achten, wenn Sie selbst Dateien teilen. Die Beispiele beziehen sich auf Microsoft 365 mit OneDrive und SharePoint; in Google Workspace und anderen Cloud-Ablagen funktioniert die Masche gleich.

Wie die Masche abläuft

1. Ein bekannter Name. Die Angreifer kennen den Namen eines Lieferanten oder einer Kollegin, etwa aus einer Signatur oder der Website.
2. Eine glaubwürdige Benachrichtigung. Die Mail sieht aus wie eine echte Freigabe, mit Dateiname, Symbol und Knopf.
3. Ein Dokument ohne Inhalt. Hinter dem Knopf liegt eine leere oder unscharfe Seite mit dem Hinweis: „Zum Anzeigen melden Sie sich an."
4. Eine falsche Anmeldeseite. Sie sieht aus wie die gewohnte, liegt aber unter einer fremden Adresse. Moderne Phishing-Seiten reichen Passwort und Bestätigungscode sofort weiter, sodass der Angreifer sich im selben Moment anmelden kann. Die US-Behörde CISA beschreibt dieses Echtzeit-Phishing von Einmalcodes.
5. Stille Nutzung. Mit dem Konto liest der Angreifer mit, legt Postfachregeln an, die Mails umleiten oder verstecken, und verschickt von Ihrem echten Konto neue Freigabe-Mails an Ihre Kontakte. Microsoft beschreibt solche Postfachregeln als häufigen Bestandteil von Betrugsfällen mit übernommenen Mailkonten.

Spur 1: Wer hat geteilt, und erwarten Sie das?

Schauen Sie auf den Namen und auf die Absenderadresse. Kennen Sie die Person? Haben Sie mit ihr gerade über diese Datei gesprochen? Eine Rechnung von einem Lieferanten, mit dem Sie nie per Freigabe arbeiten, oder ein „Gehaltsdokument" von einer Kollegin aus einer anderen Abteilung ist ungewöhnlich.

Vorsicht: Auch eine Mail, die technisch wirklich von der Cloud-Plattform kommt, kann eine Falle sein. Wer selbst ein Konto beim selben Anbieter hat, kann echte Dateien teilen, die erst im Inneren auf eine falsche Seite verlinken. Entscheidend ist deshalb nicht, ob die Benachrichtigung echt ist, sondern ob Sie die Freigabe von dieser Person erwarten. Im Zweifel fragen Sie über einen zweiten Weg nach: kurzer Anruf unter der bekannten Nummer, nicht als Antwort auf die Mail.

Spur 2: Wohin führt der Knopf?

Bevor Sie tippen: Zeigen Sie am Computer mit der Maus auf den Knopf, am Handy drücken Sie lange darauf. Unten oder in einem Fenster erscheint die Zieladresse. Gehört sie zu Ihrem Firmenkonto oder zur bekannten Plattform? Oder steht dort eine Adresse wie firmenname-login.co oder eine Folge aus Zahlen und Buchstaben?

Auf der Anmeldeseite selbst gilt dasselbe: Lesen Sie die Adresse in der Adresszeile, nicht das Logo auf der Seite. Logos lassen sich kopieren, Adressen nicht.

Spur 3: Verlangt ein Dokument zum Ansehen ein Passwort?

Wer im Firmenkonto angemeldet ist, kann eine echte Freigabe aus dem eigenen Betrieb meist direkt öffnen. Ein Dokument, das nur aus einem Knopf „Anmelden, um anzuzeigen" besteht, eine Seite, die leer oder absichtlich unscharf ist, oder eine Aufforderung, sich „zur Sicherheit erneut anzumelden": Das sind Zeichen, dass jemand Ihre Zugangsdaten will, nicht dass Sie ein Dokument lesen sollen.

Ausnahmen gibt es, etwa bei Freigaben von außen oder auf einem neuen Gerät. Deshalb ist diese Spur am stärksten zusammen mit den ersten beiden.

Merkregel: Öffnen Sie geteilte Dateien nur, wenn Sie sie erwarten; wer zum Ansehen ein Passwort verlangt, will Ihr Passwort.

Die andere Richtung: selbst sicher teilen

Freigabelinks sind nicht nur ein Köder, sondern auch ein Weg, auf dem Daten ungewollt nach draußen gehen. Microsoft unterscheidet drei Arten von Links:

• Jeder mit dem Link: Wer den Link hat, kann die Datei öffnen, ohne sich anzumelden. Microsoft beschreibt ihn als übertragbaren, widerrufbaren geheimen Schlüssel. Wer ihn weiterleitet, gibt die Datei weiter, und es lässt sich nicht nachvollziehen, wer sie geöffnet hat.
• Personen in Ihrer Organisation: Der Link funktioniert nur für angemeldete Mitglieder Ihres Betriebs, nicht für Gäste.
• Bestimmte Personen: Der Link funktioniert nur für die Personen, die Sie angeben, nach Anmeldung. Weiterleiten nützt anderen nichts.

Welche Arten Sie sehen, hängt von den Einstellungen Ihres Betriebs ab. Eine einfache Frage hilft: Dürfte diese Datei auf einem Plakat im Eingangsbereich hängen? Wenn nein, ist „Jeder mit dem Link" die falsche Wahl. Für Listen mit Namen, Telefonnummern, Lohn- oder Kundendaten passt „Bestimmte Personen", und wenn möglich nur mit Leserecht.

Ist ein Link mit personenbezogenen Daten doch an die falsche Stelle gegangen, melden Sie das sofort Ihrer zuständigen Stelle. Der Link lässt sich löschen, und der Betrieb muss prüfen, ob eine Meldung an die Datenschutzbehörde nötig ist. Nach Art. 33 DSGVO läuft dafür eine Frist von 72 Stunden ab Bekanntwerden.

Wenn es schon passiert ist

Sie haben auf einer Seite Ihr Passwort eingegeben und erst danach gemerkt, dass etwas nicht stimmt? Dann zählt Geschwindigkeit, nicht Gewissheit.

• Rufen Sie sofort die zuständige Stelle an und schildern Sie, was passiert ist.
• Löschen Sie die Mail nicht; sie hilft bei der Prüfung.
• Ändern Sie Ihr Passwort, wie die zuständige Stelle es sagt, und lassen Sie alle Sitzungen abmelden.

Melden ist kein Geständnis. Wer früh meldet, gibt dem Betrieb die Zeit, den Zugang zu schließen, bevor jemand damit weiterarbeitet.

Üben, bevor es ernst wird

Die drei Spuren sind schnell erklärt. Im Alltag zwischen zwei Telefonaten fallen sie nur auf, wenn man sie ein paar Mal selbst gefunden hat. In Wachsam spielen Sie genau solche Situationen durch: Ein Fuchs, der Trickser, hat eine Freigabe-Mail gebaut und drei Spuren hinterlassen. Finden Sie sie unter /spielen, im Browser, ohne Anmeldung.

Checkliste vor dem Öffnen einer geteilten Datei

• Kenne ich die Person, und erwarte ich diese Datei von ihr?
• Gehört die Zieladresse des Knopfs zu meinem Firmenkonto oder zur bekannten Plattform?
• Verlangt das Dokument zum Ansehen eine neue Anmeldung? Dann nicht anmelden, nachfragen.
• Beim eigenen Teilen: „Bestimmte Personen" statt „Jeder mit dem Link" für alles mit Namen oder Zahlen.
• Bei Zweifel oder Fehler: sofort die zuständige Stelle anrufen.

Quellen (abgerufen am 14.10.2026): Microsoft Learn, How shareable links work in OneDrive and SharePoint in Microsoft 365; Microsoft Learn, Alert classification for suspicious inbox manipulation rules; CISA, Implementing Phishing-Resistant MFA, Oktober 2022; Verordnung (EU) 2016/679, Art. 33.